【dotnet】安全编码规范

本文将从代码安全、数据安全、身份安全、通信安全四个维度，总结15个关键设计原则，并附典型场景的解决方案与代码示例，助你规避90%的安全风险：

一、代码安全：构建安全防线

1. 输入验证：第一道屏障

• 漏洞场景：未过滤用户输入导致SQL注入、XSS攻击。
• 防御方案：[code]// 使用白名单验证（正则表达式） if (!Regex.IsMatch(input, @"^[a-zA-Z0-9_\-@.]+$")) throw new ArgumentException("非法字符"); // ASP.NET Core模型验证 public class UserModel { [Required] [StringLength(50, MinimumLength = 3)] [RegularExpression(@"^[a-z0-9_]+$")] // 只允许小写字母、数字、下划线 public string Username { get; set; } } [/code]

2. 安全使用第三方库

• 风险点：过期的NuGet包包含已知漏洞（如Newtonsoft.Json旧版本反序列化漏洞）。
• 工具链：
  • 使用dotnet list package --vulnerable扫描项目。
  • 配置NuGet.config强制使用HTTPS源：[code]<configuration> <packageSources> <add key="nuget.org" value="https://api.nuget.org/v3/index.json" /> </packageSources> </configuration> [/code]

3. 安全异常处理

• 反模式：暴露堆栈信息给用户。
• 优化方案：[code]try { /* 业务代码 */ } catch (Exception ex) { // 记录完整错误 _logger.LogError(ex, "操作失败"); // 返回友好提示 return BadRequest("请求处理失败，请联系管理员"); } [/code]

二、数据安全：保护敏感信息

4. 数据库安全连接

• 错误示例：硬编码数据库连接字符串。
• 安全实践：[code]// appsettings.json中加密存储 "ConnectionStrings": { "Default": "Server=.;Database=MyDB;User Id=sa;Password=***;" } // 使用ASP.NET Core数据保护API加密 services.AddDataProtection(); services.Configure<ConnectionStrings>(options => options.Default = _protector.Unprotect(Configuration["ConnectionStrings:Default"])); [/code]

5. 密码存储规范

• 致命错误：明文存储或使用MD5/SHA1哈希。
• 正确方案：[code]// ASP.NET Core Identity密码哈希 var user = new IdentityUser { UserName = "test" }; var hashedPassword = _userManager.PasswordHasher.HashPassword(user, "P@ssw0rd"); // 验证密码 var result = _userManager.PasswordHasher.VerifyHashedPassword(user, hashedPassword, inputPassword); [/code]

6. 加密敏感数据

• 场景：存储用户身份证号、银行卡号。
• 方案：[code]// 使用AES-GCM加密（.NET 6+） byte[] key = ...; // 从安全存储获取 var data = Encoding.UTF8.GetBytes("敏感信息"); byte[] nonce = RandomNumberGenerator.GetBytes(12); var ciphertext = new byte[data.Length]; var tag = new byte[16]; using var aes = new AesGcm(key); aes.Encrypt(nonce, data, ciphertext, tag); // 存储 ciphertext + nonce + tag [/code]

三、身份安全：认证与授权

7. JWT安全实践

• 配置要点：[code]services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme) .AddJwtBearer(options => { options.TokenValidationParameters = new TokenValidationParameters { ValidateIssuer = true, ValidIssuer = "myapp.com", ValidateAudience = true, ValidAudience = "myapp-users", ValidateLifetime = true, ClockSkew = TimeSpan.Zero, // 禁止时间偏移容忍 IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secretKey)) }; }); [/code]

8. 防范CSRF攻击

• ASP.NET Core方案：[code]services.AddAntiforgery(options => { options.HeaderName = "X-CSRF-TOKEN"; // 自定义Header名称 options.Cookie.SecurePolicy = CookieSecurePolicy.Always; }); // 在视图中注入Token <form method="post"> @Html.AntiForgeryToken() <!-- 表单内容 --> </form> [/code]

9. 权限最小化原则

• RBAC模型示例：[code][Authorize(Roles = "Admin")] public class AdminController : Controller { /* 管理功能 */ } // 细粒度策略授权 services.AddAuthorization(options => { options.AddPolicy("DeletePolicy", policy => policy.RequireAssertion(context => context.User.IsInRole("Admin") && context.User.HasClaim(c => c.Type == "CanDelete"))); }); [/code]

四、通信安全：通道与协议

10. 强制HTTPS

• Startup配置：[code]services.AddHttpsRedirection(options => { options.RedirectStatusCode = StatusCodes.Status307TemporaryRedirect; options.HttpsPort = 443; }); // Kestrel强制HTTPS webBuilder.ConfigureKestrel(serverOptions => { serverOptions.ConfigureHttpsDefaults(listenOptions => { listenOptions.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls13; }); }); [/code]

11. API速率限制

• ASP.NET Core 7+方案：[code]// 每个客户端每分钟100次请求 builder.Services.AddRateLimiter(options => { options.GlobalLimiter = PartitionedRateLimiter.Create<HttpContext, string>(context => RateLimitPartition.GetFixedWindowLimiter( context.Connection.RemoteIpAddress?.ToString(), factory => new FixedWindowRateLimiterOptions { AutoReplenishment = true, PermitLimit = 100, Window = TimeSpan.FromMinutes(1) })); }); [/code]

12. 安全Headers配置

• 中间件示例：[code]app.Use(async (context, next) => { context.Response.Headers.Add("Content-Security-Policy", "default-src 'self'; script-src 'self' 'unsafe-inline'"); context.Response.Headers.Add("X-Content-Type-Options", "nosniff"); context.Response.Headers.Add("Referrer-Policy", "strict-origin-when-cross-origin"); await next(); }); [/code]

五、高级防御技巧

13. 安全日志审计

• 结构化日志示例：[code]_logger.LogInformation("用户 {UserId} 从 {IP} 登录成功", user.Id, HttpContext.Connection.RemoteIpAddress); [/code]

14. 防范DDoS攻击

• 云原生方案：
  • 启用Azure/AWS的WAF（Web应用防火墙）。
  • 使用Cloudflare速率限制规则。
  • 配置健康检查自动缩放实例。

15. 依赖安全扫描

• CI/CD集成：[code]# GitHub Actions示例 - name: 安全扫描 uses: ossf/scorecard-action@v2 with: results_file: results.sarif results_format: sarif [/code]

工具链推荐

1. 静态分析：SonarQube、Roslyn Analyzers
2. 动态测试：OWASP ZAP、Burp Suite
3. 密钥管理：Azure Key Vault、HashiCorp Vault
4. 监控告警：Application Insights、Sentry

总结

安全设计需贯穿开发全生命周期，核心原则是最小权限、纵深防御、不信任任何输入。建议：

• 使用Security Code Scan等工具集成到CI流程
• 定期进行渗透测试与漏洞扫描
• 建立安全编码规范与应急响应机制